管理者のアクセス権を制限する
組織内の各種管理者のさまざまなアクセスレベルを指定できます。たとえば、一部の人間にだけ「システム管理者」のアクセス権を与え、自チームの全管理者はデータベース管理者として指定する場合もあります。
このタスクについて
管理者のアクセス権は、階層的に付与されます。権限の階層は、次のようになります。
- フルアクセスアドミニストレーター - リストされているすべてのアドミニストレーションアクセスレベルの権限が付与されます。
- 管理者 - データベース管理者とフルコンソール管理者のすべての権限 (ただし、システム管理者の権限は除く) が付与されます。
- フルコンソール管理者 - 参照限定コンソール管理者の権限 (ただし、システム管理者の権限は除く) が付与されます。
- システム管理者 - 限定システム管理者の権限が付与されます。
各フィールドにユーザーを個別に指定する必要はありません。最上位レベルの管理者アクセス権にユーザーを追加すると、階層内で下位にリストされているすべての権限が自動的にそのユーザーに付与されます。
管理者のアクセス権を制限するには
手順
- From the Domino® Administrator, click the Configuration tab, and open the Server document.
- 「セキュリティー」タブをクリックします。
- [管理者] セクションで、以下のフィールドに入力し、文書を保存します。それらのすべてのフィールドで、各階層名、グループ、ワイルドカード (*/Sales/Renovations など) を指定できます。複数のエントリを指定する場合は、それぞれのエントリをカンマで区切ります。注:管理者フィールドを除き、これらのフィールドはすべてデフォルトで空白になっており、誰もこれらのアクセス権を持っていないことを意味します。
表 1 。管理者アクセスの説明 フィールド
アクション
フルアクセスアドミニストレーター
サーバーを管理するためのフルアクセス権を持つ管理者の名前を入力します。これは、最上位レベルの管理権限です。
管理者
サーバーを管理できる管理者の名前を入力します。このフィールドのデフォルト値は、該当サーバーを最初に設定した管理者の名前です。このフィールドにリストされる管理者には、次の権限があります。
- フォルダとデータベースリンクの作成、更新、削除
- ディレクトリリンク ACL の作成、更新、削除
- データベースの圧縮と削除
- 全文索引の作成、更新、削除
- データベース、レプリカ、マスターテンプレートの作成
- 特定のデータベースオプション (サービスの有効化や無効化、データベースの制限値など) の取得と設定
- メッセージトラッキングや件名のトラッキングの使用
- コンソールを使用してUNIX ™サーバーをリモート管理する
- リモートコンソールコマンドの発行
注意: ( Java ™ ) サーバー コントローラを使用しており、このフィールドにグループ名を入力する場合、管理者名が [管理者] フィールドに表示されるようにするには、グループのグループ タイプが[多目的]である必要があります。Note: For Domino® 6.0 and subsequent releases, if the NOTES.INI variableServer_Restrictedサーバー アクセスを制限するために使用されますが、管理者はサーバー上のデータベースを引き続き開くことができます。データベース管理者
サーバーでデータベースの管理を担当する管理者の名前を入力します。データベース管理者に、サーバー上のデータベースに対する [管理者] のアクセス権が自動的に付与されるわけではないことに注意してください。このフィールドにリストされるユーザーが持つ権限は、次の権限だけです。
- フォルダとデータベースリンクの作成、更新、削除
- ディレクトリリンク ACL の作成、更新、削除
- データベースの圧縮と削除
- 全文索引の作成、更新、削除
- データベース、レプリカ、マスターテンプレートの作成
- 特定のデータベースオプション (サービスの有効化や無効化、データベースの制限値など) の取得と設定
フルリモートコンソール管理者
このサーバーに対してリモートコンソールを使用してコマンドを発行できる管理者の名前を入力します。
参照限定管理者
リモートコンソールを使用して、SHOW TASKS や SHOW SERVER などのシステムのステータス情報を表示するコマンドだけを発行できる管理者の名前を入力します。
この管理者は、サーバーの動作に影響を与えるコマンドを発行することはできません。
システム管理者
サーバーに対してオペレーティングシステムのあらゆるコマンドを発行できる管理者の名前を入力します。
コマンドの種類と範囲は、サーバーのオペレーティングシステムにより異なります。たとえば、 Linux ™サーバーの管理者はLinux ™コマンドのみを発行できます。
Note: This feature requires that you run the Domino® server controller on the server machine.限定システム管理者
[制限されたシステムコマンド] フィールドにリストされているオペレーティングシステムコマンドだけを発行できる管理者の名前を入力します。
Note: This feature requires that you run the Domino® server controller on the server machine.制限されたシステムコマンド
[限定システム管理者] が発行できるオペレーティングシステムコマンドのサブセットを入力します。コマンドの種類と範囲は、サーバーのオペレーティングシステムと限定システム管理者のタスクにより異なります。
たとえば、 UNIX ™印刷キューを管理するために、制限付きのシステム管理者が必要になる場合があります。このフィールドに、印刷キューを管理するためのUNIX ™コマンドを入力します。[限定システム管理者] フィールドに入力した名前のユーザーがアクセスできるのは、このフィールドにリストされるコマンドだけです。
結果
フルアクセスアドミニストレーター
このタスクについて
フルアクセスアドミニストレーターは、サーバーに対して最上位レベルの管理アクセス権を持ちます。フル アクセス管理者機能により、Notes ®クライアントをサーバー上でローカルに実行する必要がなくなります。フルアクセスアドミニストレーターを設定すると、データベース ACL の管理者だけが組織を離れた場合に発生する可能性のある、アクセス制御に関する問題点を解決できます。
フルアクセスアドミニストレーターには、次の権限があります。
- すべてのアクセスレベルの管理者に付与されるすべての権限 (表 1 を参照)。
- サーバー上の全データベースに対する [管理者] のアクセス権 (データベースの ACL の設定とは関係なく、すべてのアクセス権が有効) 注:フル アクセス管理者の場合は、ACL ロールを手動で有効にする必要があります。
- すべてのデータベース内のすべての文書に対するアクセス権 (読者名フィールドの設定には関係ありません)
- フルアドミニストレーション権限を持つ制限なしモードで実行されるエージェントを作成できる権限
- サーバー上の暗号化されていないすべてのデータに対するアクセス権注意:フルアクセス管理者は暗号化されたデータへのアクセスを許可しません。パブリックキーを使用して暗号化されている文書の暗号化解除には、指定のユーザーのプライベートキーが必要です。同様に、シークレットキーを使用して暗号化されている文書の暗号化解除には、シークレットキーが必要です。
フルアクセスアドミニストレーターモードを有効にする
このタスクについて
管理者は、フルアクセスアドミニストレーターモードで作業するには、次の条件を満たす必要があります。
- Administrator クライアントを使用している。
- サーバー文書の [セキュリティ] タブにある [管理者] セクションの [フルアクセスアドミニストレーター] フィールドにリストされている。デフォルトでは、このフィールドは空です。
- 管理者クライアントでフルアクセス管理モードを有効にするには、管理を選択します。 > フルアクセス管理。このモードが有効になっていない場合、サーバー文書にフルアクセスアドミニストレーターとしてリストされても、サーバーに対してフル管理者アクセス権を持ちません。その場合は、代わりに [管理者] のアクセス権が付与されます。
フルアクセスアドミニストレーターモードが有効になっている場合は、クライアントのウィンドウタイトル、タブタイトル、ステータスバーを見るとそれが分かります。そのため、ユーザーは、自分が最上位レベルの権限でサーバーにアクセスしていることが分かり、注意して処理を実行する必要があることを認識できます。
If an administrator enables full administration mode in the Administration client, this mode is also enabled for the Domino® Designer and for the Notes® clients. Full administrator access is also reflected in their window titles, tab titles, and status bars.
ユーザーがフルアクセスアドミニストレーターモードに切り替えても、サーバー文書内にリストされていなければ、フルアクセス権を持つことを拒否されます。その場合は、ステータスバーとサーバーコンソールにメッセージが出力されます。クライアントはフルアクセスモードになりますが、ユーザーは該当するサーバーに対してフル管理者アクセス権を持ちません。
フルアクセスアドミニストレーター機能を無効にする
フルアクセス管理者フィールドを無効にするには、 SECURE_DISABLE_FULLADMIN = 1NOTES.INIファイル内。この設定により、フルアクセスアドミニストレーター権限が無効になり、サーバー文書内の該当フィールドにリストされているすべての名前が無効になります。サーバーに物理的にアクセスしてそのサーバーの NOTES.INI ファイルを編集できるユーザーのみが、NOTES.INI ファイル内のこのパラメータを設定することができます。このパラメータは、サーバーコンソールやリモートコンソールを使用して設定したり、サーバー文書内で設定することはできません。
フルアクセスアドミニストレーター機能を管理するためのオプション
このタスクについて
フルアクセスアドミニストレーター権限は、次のようないくつかの方法で付与することができます。
- 特殊なフルアドミニストレーター ID ファイル (例: Full Admin/Sales/Renovations) を作成し、[フルアドミニストレーター] フィールドにこの名前を入力するだけです。そして、このユーザー ID を使用してログインするか、このユーザー ID に切り換えると、このレベルのアクセス権が得られます。この ID ファイルは、複数のパスワードを必要とするように設定することもできます。
- フル管理者アクセス権を付与するために OU レベルの認証者を作成し、信頼できる管理者に別の ID (Jane Admin/Full Admin/Acme など) を発行します。
- [フルアクセスアドミニストレーター] フィールドは、空白のままにしておきます。緊急事態が発生した場合は、信頼できるユーザーの名前を追加します。
- [フルアクセスアドミニストレーター] フィールドに、信頼できる一部の管理者だけを指定します。
この機能がどのように使用されているのかを、次のようにしてトラッキングすることもできます。
- イベントハンドラを設定し、フルアクセスアドミニストレーション権限が起動されると、EVENTS4.NSF を使用して通知を送信するようにします。
- [データベースのプロパティ] インフォボックスを使用して、フルアクセスアドミニストレーター権限を使用して実行されたすべてのデータベースアクティビティをデータベースの使用状況に記録します。
- この機能の使用をサーバーで記録します。